Consentement aux cookies publicitaires et validité du cookie wall lors de la création d’un compte

La CNIL retient sa compétence pour contrôler et sanctionner les traitements relevant de la directive ePrivacy, même lorsqu’ils sont transfrontaliers et impliquent des sociétés établies hors de France. Le mécanisme de guichet unique de l’article 56 du RGPD ne s’applique pas aux obligations issues de cette directive. La compétence française repose notamment sur les articles 82 de la loi Informatique et Libertés, L. 34-5 du code des postes et des communications électroniques et 3 de la même loi.

Le conditionnement de l’accès à un service gratuit au dépôt de cookies publicitaires n’est pas, par principe, illicite. Il suppose toutefois un consentement libre et éclairé. Avant octobre 2023, la différence entre deux clics pour accepter la publicité personnalisée et six clics pour la refuser biaisait le choix de l’utilisateur et privait le consentement de son caractère libre. La modification introduisant des boutons « tout refuser » et « tout accepter » a fait disparaître ce grief relatif à la liberté du consentement, sans résoudre le défaut d’information relevé sur le lien entre cookies et fourniture des services.

⬇️Télécharger la décision version officielle

La CNIL a examiné l’affichage de courriels publicitaires dans Gmail, les cookies et la personnalisation publicitaire. Elle a retenu l’application de la loi Informatique et Libertés et du code des postes et des communications électroniques, sans recours au guichet unique du RGPD. Avant octobre 2023, le refus des cookies nécessitait davantage d’actions que leur acceptation. L’information sur certains cookies demeure insuffisante.

La CNIL a été saisie d’une plainte concernant l’affichage de courriels publicitaires dans l’onglet « Promotions » de Gmail sans consentement. Elle a contrôlé les traitements liés à Gmail, aux cookies et à la personnalisation publicitaire lors de la création d’un compte Google.

La formation restreinte a examiné sa compétence au regard de la directive ePrivacy, du RGPD et du droit français. Elle a retenu que les traitements relevaient des articles 82 de la loi Informatique et Libertés et L. 34-5 du code des postes et des communications électroniques, sans application du guichet unique du RGPD.

Elle a également analysé les parcours de consentement proposés aux utilisateurs. Avant octobre 2023, le refus des cookies de personnalisation exigeait davantage d’actions que leur acceptation. Depuis cette modification, l’acceptation et le refus sont proposés avec une facilité équivalente, mais l’information sur le caractère indissociable de certains cookies et des services Google demeure insuffisante.

• Identifier des cookies publicitaires non exemptés de consentement
• Vérifier l’existence d’une alternative réelle et satisfaisante
• Comparer la facilité d’acceptation et de refus
• Évaluer l’impact respectif des publicités personnalisées et génériques
• Informer clairement du lien entre cookies et fourniture du service
• Justifier l’équilibre économique recherché par le cookie wall

• Constatations des contrôles en ligne sur google.fr
• Parcours de création de compte en une ou plusieurs étapes
• Nombre de clics requis pour accepter ou refuser
• Captures et contenus des écrans de consentement
• Procès-verbal du contrôle sur place du 29 novembre 2022

Le responsable de traitement doit proposer des choix symétriques et fournir une information complète sur les cookies publicitaires. La CNIL conserve sa compétence pour les traitements ePrivacy rattachés aux activités de l’établissement français, même en présence d’une organisation transfrontalière.

• Maintien d’un refus aussi accessible que l’acceptation
• Correction de l’information sur les cookies nécessaires et publicitaires
• Documentation de toute alternative proposée à l’utilisateur
• Justification de l’équilibre économique du cookie wall
• Conservation des preuves des parcours successifs de consentement

À faire

• Comparer le nombre d’actions pour accepter et refuser
• Afficher des boutons de choix directement accessibles
• Distinguer cookies nécessaires, génériques et personnalisés
• Expliquer le lien entre cookies et service fourni
• Documenter les modifications du parcours utilisateur

À éviter

• Imposer plusieurs écrans supplémentaires pour refuser
• Présenter la publicité personnalisée comme choix par défaut
• Assimiler les cookies publicitaires à des cookies nécessaires
• Omettre l’existence d’une alternative réelle et satisfaisante
• Modifier le parcours sans conserver les éléments de preuve

La compétence nationale pour les traitements ePrivacy transfrontaliers

La CNIL est compétente pour contrôler et sanctionner les opérations relevant de la directive 2002/58/CE, transposées notamment à l’article 82 de la loi Informatique et Libertés et à l’article L. 34-5 du CPCE, même lorsque le traitement est transfrontalier. Le mécanisme de guichet unique de l’article 56 du RGPD ne s’applique pas à ces obligations. La compétence territoriale découle de l’article 3 de la loi, les traitements étant effectués dans le cadre des activités de l’établissement français.

Les conditions du consentement aux cookies publicitaires

Les cookies publicitaires ne sont pas exemptés de consentement au titre de l’article 82. Un cookie wall peut être admis si le consentement reste libre, notamment en présence d’une alternative réelle et satisfaisante. L’organisme doit pouvoir justifier l’équilibre économique recherché. La différence d’impact entre publicité personnalisée et publicité générique impose également de vérifier que le parcours ne biaise pas le choix de l’utilisateur.

La facilité équivalente du refus et de l’acceptation

Avant octobre 2023, deux clics permettaient d’accepter la publicité personnalisée, contre six pour la refuser. Cette asymétrie décourageait le refus et altérait la liberté du consentement. La formation restreinte estime que l’introduction des boutons « tout refuser » et « tout accepter » rend ensuite les choix aussi faciles. Le défaut de liberté ne subsiste donc plus à compter de cette modification, tandis qu’un défaut d’information demeure relevé.

Article 82 de la loi n° 78-17 du 6 janvier 1978, Article L. 34-5 du code des postes et des communications électroniques, Article 3 de la loi n° 78-17 du 6 janvier 1978, Articles 16 et 20 de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978